[HACK] Absuelto Quickbasic

[merce]

11/10/05 16:19:40


ABSUELTO UN HACKER SOSPECHOSO DE HABER ASALTADO 40 EMPRESAS Y
ORGANISMOS PÚBLICOS

"Quickbasic" no dañaba los sistemas informáticos y avisaba a los
administradores de los fallos que tenían


Mercè Molist
Juan Pablo Corujo, un joven de Pontevedra de 33 años, practicaba una
curiosa forma de asaltar ordenadores: no provocaba daños y avisaba
del agujero por el que había entrado a los administradores,
ofreciéndoles su dirección de correo electrónico. Esta buena fe,
junto a la falta de pruebas para demostrar la mayoría de intrusiones
de que se le acusaba, ha sido determinante para que una juez le haya
absuelto de todos los cargos, que podían haberle llevado a prisión.

La Guardia Civil detuvo a Juan Pablo Corujo en mayo de 2001.
Acusaban a "Quickbasic", como se le conocía en Internet, de
modificar la web del ministerio de Hacienda, sustituyéndola por un
texto que ponía en duda la profesionalidad de sus administradores.
El joven lo admitió, así como haber entrado en el servidor web del
diario "ABC", donde introdujo una noticia falsa que estuvo en
portada diez segundos. En ambos sitios no causó daños y dejó una
nota, explicando cómo reponer las portadas antiguas y qué fallo
había aprovechado para entrar.

"Les dejé mi nombre, apodo y dirección de correo electrónico, por si
querían contactar conmigo y, para mi sorpresa, quien me contactó fue
la Guardia Civil. No me lo esperaba. Quizá una multa pero no que
pidiesen prisión, ni que enviasen un comando de Madrid a detenerme.
El fallo que aproveché para entrar era muy conocido, un error de los
servidores web de Microsoft: con un simple navegador podías listar
el contenido de todo el disco duro y, con un poco más de
conocimiento, tomar el control", explica. Curiosamente, la Guardia
Civil no siguió su pista por la dirección de correo que dejó en los
servidores asaltados sinó por el apodo "Pablo", que usaba en la red
de chats IRC-Hispano.

Según los agentes, en la web de Hacienda "copió una pequeña base de
datos de clientes que habían comprado bonos del Estado, con su
nombre, DNI y algo más". Pero esta lista no se localizó en el
análisis posterior del ordenador del joven. En cambio, los agentes
encontraron información de más de 40 empresas y organismos públicos
que parecían haber sido víctimas o futuros objetivos de
"Quickbasic", entre ellas la Conferencia Episcopal, el Corte Inglés,
Telefónica, la Tesorería de la Seguridad Social, el Centro de
Investigaciones Sociológicas o Endesa. Destacaba una base de datos
con nombres y direcciones electrónicas de 3.505 suscriptores del
boletín del Partido Popular y 900 personas vinculadas al partido,
entre ellas senadores y congresistas.

"Quickbasic" afirmó que lo había copiado todo de un ordenador de
Estados Unidos, no de los sitios originales. La Guardia Civil se
puso en contacto con las 40 empresas y organismos, pero la mayoría
no presentaron cargos, por no haber detectado intrusiones ni daños
en sus sistemas. Sólo le acusaron formalmente el Partido Popular, la
Tesorería de la Seguridad Social y la Universidad de Santiago de
Compostela, aunque no había pruebas fehacientes de estas intrusiones
porque, según la sentencia, "eran archivos muy antiguos y el Partido
Popular y estas empresas ya los tenían borrados".

El PP pedía cuatro años de prisión y que se le abonasen los gastos
de la auditoría que llevó a cabo en sus ordenadores, así como la
compra de programas para asegurar sus sistemas. "Quickbasic" afirma:
"En el juicio, su abogado me preguntó por qué no había entrado
también en máquinas socialistas, quería convertirlo en un caso
político pero a mi no me interesa la política. Lo que me interesaba
era llamar la atención de lo inútiles que eran los administradores.
Modificar las webs era como una pintada de protesta, con el añadido
que por sí misma la "pintada" demostraba su incompetencia".

El joven participó activamente en su defensa, llamando una por una a
las 40 empresas y organismos que aparecían en su ordenador, para
pedirles que no le denunciasen. También salió en el programa "Alerta
112" de Antena 3, para mostrar los métodos que había usado en sus
intrusiones y lo sencillo que había sido. Este vídeo acabó constando
como prueba en el juicio.

La sentencia absuelve a Juan Pablo Corujo por no haber pruebas de
las intrusiones ni tampoco daños en las dos que se han demostrado. Y
marca jurisprudencia en el controvertido tema de si es lícito que
los hackers informen de las vulnerabilidades que descubren: "Dudamos
de que se quisieran dañar los sistemas informáticos en un caso en
que su autor manifiesta que sólo pretendía advertir de la existencia
de fallos de seguridad, por lo que dejó todo un rastro y señas de
identidad, pretendiendo que se pusiesen en contacto con él". Según
el abogado defensor, Carlos Sánchez Almeida, "se confirma que si el
hacker no causa daños ni obtiene secretos, sólo denuncia una
vulnerabilidad, no hay delito".

De todas formas, a "Quickbasic", que hoy trabaja de comercial de
informática y está más interesado en la robótica que en la
exploración de vulnerabilidades, se le han pasado las ganas de hacer
de justiciero: "Fui un ingenuo al pensar que lo que hacía no era una
delito, como me intentaron achacar. No recomiendo en absoluto que la
gente lo haga".



Sentencia
http://www.bufetalmeida.com/sentencias/pp.html
Webs de Quickbasic
http://robotidus.mypets.ws
http://sentencia.webhop.net




Copyright 2005 Mercè Molist.
Verbatim copying, translation and distribution of this entire
article is permitted in any digital medium, provided this notice is
preserved.